デジタル庁、群馬県の両毛システムズ、米国のベラディグムが、2026年8〜9月に不正アクセスや情報漏えいのおそれを相次いで公表しました。 入口はVPN機器の脆弱性、VPNの認証情報、委託先の認証情報で、いずれも組織の外とつながる部分でした。
デジタル庁の共通基盤で約24.6万件のおそれ
デジタル庁は9月11日、同庁が運用するガバメントソリューションサービス(GSS)で、個人情報を含むファイルが外部に漏れた可能性があると発表しました。
発表によると、6月25日に保守運用担当者のアカウントで大量のファイルが読み出されていることを検知し、調査を始めました。7月9日に第三者の侵入と判明し、そのアカウントを止めて、侵害された機器と外部との通信を遮断しています。侵入に使われたのは、ネットワーク接続機器(VPN)の脆弱性でした。
漏えいの可能性があるのは約24.6万件です。内訳は、GSSを使う機関の職員や公務員などが約18.9万件、業務に関わった事業者や個人が約5.7万件。氏名、メールアドレス、電話番号、住所などが含まれ、マイナンバー、金融機関の口座情報、年金番号は含まれないとされています。デジタル庁は、対象者へ順次連絡するとともに、脆弱性の管理方法や外部との接続方法を見直す方針です。
委託先から自治体へ広がった事案
群馬県桐生市のシステム会社、両毛システムズは8月15日、社内システムへの不正アクセスを公表しました。8月14日未明に社内の監視が異常をとらえてネットワークを遮断し、のちにランサムウェア攻撃と確認しています。9月25日の第3報では、8月12日に第三者がVPNの認証情報を悪用して侵入したと説明しました。漏えいのおそれがある情報は、営業情報や取引情報のほか、取引先の顧客・個人顧客・従業員に関する個人情報で、件数は精査中です。
この会社に市立学校のタブレット端末の保守管理を任せていた伊勢崎市は、9月28日に影響を公表しました。児童生徒のアカウント情報3,789件が漏れた可能性があり、学校名、学年、氏名、ふりがな、アカウント名、パスワードが含まれます。住所、電話番号、成績、健康診断の情報は含まれないとのことです。市は9月25日に保護者へ通知し、該当アカウントのパスワードを変更しました。
米国の開示でも委託先の認証情報が入口に
米国のベラディグム(Veradigm Inc.)は9月8日付の8-K(重要な出来事を知らせる開示書類)で、委託先のベンダーがサイバーインシデントに遭い、少数の顧客に関するデータに影響したと開示しました。米国の社会保障番号を含む個人データが取得された一方、臨床・医療データは含まれないとしています。
原因は、第三者がそのベンダーの認証情報を入手し、ベンダーが顧客に代わってサービスを提供するときに使う同社のAPIへアクセスしたことでした。同社は法執行機関に通報し、影響を受けた顧客への通知を進めています。該当する場合は、信用情報の監視サービスも提供するといいます。影響を受けた人数は具体的に示されていません。
3件を並べると、入口はVPN機器の脆弱性、VPNの認証情報、委託先の認証情報で、どれも組織の内側と外側をつなぐ部分でした。両毛システムズでは取引先の自治体に、ベラディグムでは顧客のデータに影響が及んでいます。ただし、3件を同じ攻撃と結びつける記載は、各公式資料にはありません。件数や傾向を示す統計は、本稿では扱っていません。
【トレ助のコメント】
24.6万件、3,789件、そして少数の顧客。3件の公表は、被害の規模の示し方までばらばらなんだ。でも入口をたどると、VPN機器の脆弱性、VPNの認証情報、委託先の認証情報と、どれも外とつながる通路だったよ。被害の数字と並べて、どこから入られたかを読むと、見え方が変わってくるね。
